Politique de confidentialité

1. Qui sommes-nous (responsable du traitement)

Le responsable du traitement de vos données à caractère personnel, au sens de l’article 4, point 7), du RGPD, est :

2. Champ d’application de la présente politique

La présente politique explique quelles données à caractère personnel NaKlar traite lorsque vous utilisez les applications mobiles et de bureau NaKlar (iOS, iPadOS, macOS, Android), y compris les fonctionnalités d’IA dans le cloud, les comptes, les abonnements et la mesure d’audience facultative, ainsi que le présent site web à l’adresse naklar.app.

Lorsqu’une fonctionnalité est fournie par un tiers (par exemple un fournisseur de modèles d’IA ou l’App Store), la politique de confidentialité de ce fournisseur s’applique en outre — les liens correspondants figurent ci-dessous.

3. Le local d’abord : comment NaKlar traite vos données

NaKlar est conçu pour que vos documents administratifs restent en permanence sous votre contrôle :

• La numérisation, la reconnaissance de texte et l’organisation des documents s’effectuent localement sur votre appareil.
• Vos documents, le texte reconnu et vos conversations avec l’assistant sont stockés localement sur votre appareil — et non dans les bases de données de nos serveurs.
• Le traitement par IA dans le cloud n’a lieu que si vous le choisissez. Si vous sélectionnez un modèle d’IA dans le cloud pour une requête, la requête et les extraits de documents nécessaires pour y répondre sont transmis à ce fournisseur (voir sections 5 et 6). Si vous utilisez un modèle local, rien ne quitte votre appareil.
• Aucun envoi automatique. Les projets de réponse s’ouvrent toujours dans votre propre application de messagerie afin que vous puissiez les relire — NaKlar n’envoie jamais de courriels en votre nom.

4. Les données que nous traitons et pourquoi

5. L’IA dans le cloud de votre choix : Mistral AI (UE)

Lorsque vous choisissez d’interagir avec l’assistant au moyen de Mistral AI, votre requête et les extraits de documents pertinents sont transmis à notre sous-traitant :

• Fournisseur : Mistral AI SAS, 15 rue des Halles, 75001 Paris, France.
• Finalité : Traitement des questions en langage naturel, explications de documents et projets de courriers formels en allemand.
• Base juridique : Article 6, paragraphe 1, point b) du RGPD (exécution du contrat / service demandé par l’utilisateur) et article 6, paragraphe 1, point a) du RGPD (consentement explicite lors du choix du modèle d’IA dans le cloud).
• Traitement et conservation des données : Les données transmises via l’API commerciale sont traitées sur des serveurs situés dans l’Union européenne. Le sous-traitant conserve des journaux opérationnels temporaires uniquement pour la sécurité automatisée et la prévention des abus, conformément à son avenant relatif au traitement des données (actuellement jusqu’à 30 jours glissants), après quoi ils sont supprimés.
• Aucun entraînement de modèles : Notre contrat commercial d’API interdit contractuellement au sous-traitant d’utiliser vos requêtes ou extraits de documents pour entraîner des modèles d’IA.
• Informations complémentaires : L’avenant du sous-traitant relatif au traitement des données fait foi quant à ses mesures de sécurité actuelles et aux détails de la sous-traitance ultérieure : Mistral AI Privacy Policy et Mistral AI Data Processing Addendum.

6. L’IA dans le cloud de votre choix : Google Gemini (mondial / États-Unis)

Lorsque vous choisissez d’interagir avec l’assistant au moyen de Google Gemini, votre requête et les extraits de documents pertinents sont transmis à Google :

• Fournisseur : Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande (pour les utilisateurs de l’EEE ; société mère : Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, États-Unis).
• Finalité : Traitement des questions en langage naturel, explications de documents et projets de courriers formels en allemand.
• Base juridique : Article 6, paragraphe 1, point b) du RGPD (exécution du contrat / service demandé par l’utilisateur) et article 6, paragraphe 1, point a) du RGPD (consentement explicite lors du choix du modèle d’IA dans le cloud).
• Traitement et conservation des données : Nous accédons à l’API Gemini via l’offre commerciale « Paid Services » de Google. Les requêtes et les réponses sont conservées temporairement dans des journaux pendant une durée limitée, uniquement pour l’intégrité du système et la prévention des abus, comme décrit dans les conditions « Paid Services » de Google.
• Aucun entraînement de modèles : Notre contrat commercial interdit contractuellement à Google d’utiliser vos requêtes ou les réponses générées pour entraîner les modèles d’IA de Google, et aucune personne physique ne relit les contenus transmis.
• Transferts internationaux de données : Le traitement peut avoir lieu sur l’infrastructure mondiale de Google, y compris aux États-Unis. Les transferts de données vers les États-Unis sont encadrés par le cadre UE–États-Unis de protection des données (Data Privacy Framework, DPF) et les clauses contractuelles types (CCT) de Google.
• Informations complémentaires : Les conditions de Google font foi quant à ses mesures de sécurité actuelles et aux détails de la sous-traitance ultérieure : Gemini API Additional Terms of Service, Google Cloud Data Processing Addendum, et Google Privacy Policy.

7. Backend et infrastructure cloud (UE)

Notre application utilise une infrastructure cloud hébergée dans l’Union européenne pour gérer l’authentification, les droits d’utilisation et la disponibilité du service :

• Fournisseur : Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande.
• Finalité : Relayer les requêtes d’API, gérer le statut des abonnements et les soldes de crédits, et prévenir les abus de service.
• Base juridique : Article 6, paragraphe 1, point b) du RGPD (exécution du contrat).
• Aucun stockage des documents ni des requêtes : Le traitement des requêtes côté serveur est conçu pour être sans état. Les documents numérisés, le texte reconnu et les conversations restent stockés localement sur votre appareil et ne sont pas stockés dans les bases de données de nos serveurs. Les journaux techniques de diagnostic n’enregistrent que la télémétrie technique de haut niveau (telle que le nombre de jetons et les mesures de latence). Les requêtes, le contenu des documents et le texte de vos messages sont exclus des journaux opérationnels des serveurs.
• Données administratives stockées : Les enregistrements persistants sont strictement limités aux données administratives hors contenu : soldes de crédits restants, statut d’abonnement actif, jetons de validation d’achat et compteurs temporaires de limitation du débit. Tous les enregistrements sont associés uniquement à des identifiants de compte pseudonymisés.
• Droit à l’effacement (article 17 du RGPD) : Vous pouvez demander la suppression complète de votre compte directement dans l’application à tout moment. Cette suppression efface définitivement les enregistrements associés à votre compte ainsi que vos soldes de crédits et droits d’utilisation, sous réserve des obligations légales de conservation applicables.
• Accord applicable : Google Cloud Data Processing Addendum.

8. Mesure d’audience facultative dans l’application (avec consentement uniquement)

Pour surveiller la stabilité de l’application et améliorer l’expérience utilisateur, l’application intègre un outil de mesure d’audience facultatif :

• Fournisseur : Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande.
• Finalité : Diagnostics techniques, rapports de plantage et tendances agrégées d’utilisation des fonctionnalités.
• Base juridique : Article 6, paragraphe 1, point a) du RGPD et § 25 de la TDDDG (consentement opt-in explicite).
• Opt-in strict par défaut : La collecte de données de mesure d’audience est entièrement désactivée par défaut lors de l’installation de l’application. Aucune donnée télémétrique n’est collectée ni transmise sans votre autorisation explicite.
• Garanties de confidentialité : Les adresses IP sont masquées ou supprimées dès leur réception et ne sont pas stockées. Seules des actions agrégées génériques (telles que les écrans consultés ou les clics sur les boutons) sont enregistrées. L’application est conçue pour ne pas collecter ni transmettre aux services de mesure d’audience le contenu des documents, les noms de destinataires ou les numéros de référence de dossier (Aktenzeichen).
• Retrait du consentement : Vous pouvez activer ou désactiver la mesure d’audience à tout moment dans les réglages de l’application.

9. Vérification des achats intégrés

Pour la gestion des abonnements et des achats de crédits intégrés effectués via l’App Store d’Apple :

• Fournisseur : RevenueCat, Inc., 680 Green St, San Francisco, CA 94133, États-Unis.
• Finalité : Vérifier les reçus d’achat, valider les abonnements actifs et restaurer les achats.
• Base juridique : Article 6, paragraphe 1, point b) du RGPD (exécution du contrat).
• Données transmises : Identifiants de transaction pseudonymisés de l’App Store, horodatages d’achat et identifiants de produits d’abonnement. Le contenu des documents, le texte des courriers et les questions posées à l’assistant ne sont pas partagés avec RevenueCat.
• Conditions applicables : Traitement encadré par l’accord de traitement des données de RevenueCat, qui intègre les clauses contractuelles types (CCT).

10. Les données sur ce site web

Ce site web est une page d’information statique. Nous n’y exploitons ni outils de mesure d’audience, ni pixels de suivi, ni publicité, ni cookies tiers, et nous ne chargeons aucune police ni aucun script distant.

• Préférences locales uniquement. Vos choix de langue, de thème et de zoom sont stockés dans le stockage local de votre navigateur, sur votre propre appareil. Ils ne nous sont jamais transmis.
• Journaux du serveur. Notre hébergeur traite nécessairement les données techniques de connexion (telles que l’adresse IP, la date et l’heure, et l’URL demandée) pour fournir les pages en toute sécurité. Ce traitement repose sur l’article 6, paragraphe 1, point f) du RGPD (intérêt légitime à un site web sûr et fonctionnel).

11. Vos droits

En vertu du RGPD, vous disposez des droits suivants concernant vos données à caractère personnel :

• Accès (article 15) — confirmation que nous traitons ou non vos données, ainsi qu’une copie de celles-ci.
• Rectification (article 16) — correction des données inexactes.
• Effacement (article 17) — suppression, y compris la suppression complète du compte dans l’application.
• Limitation du traitement (article 18) — traitement restreint à la conservation dans certains cas.
• Portabilité des données (article 20) — obtention de vos données dans un format structuré et réutilisable.
• Opposition (article 21) — opposition au traitement fondé sur des intérêts légitimes.
• Retrait du consentement (article 7, paragraphe 3) — retrait à tout moment, avec effet pour l’avenir, du consentement accordé (par exemple pour la mesure d’audience).

Pour exercer l’un de ces droits, contactez-nous à l’adresse [email protected]. Nous répondons dans un délai d’un mois comme l’exige l’article 12, paragraphe 3, du RGPD.

12. Autorité de contrôle

Vous disposez du droit d’introduire une réclamation auprès d’une autorité de contrôle de la protection des données (article 77 du RGPD) — en particulier dans l’État membre de l’UE de votre résidence, de votre lieu de travail ou du lieu de la violation alléguée. La liste des autorités de contrôle de l’UE est publiée par le Comité européen de la protection des données à l’adresse edpb.europa.eu.

13. Enfants

NaKlar ne s’adresse pas aux enfants de moins de 16 ans, et nous ne traitons pas sciemment de données à caractère personnel d’enfants de moins de 16 ans. Si vous pensez qu’un enfant nous a fourni des données à caractère personnel, veuillez nous contacter afin que nous puissions les supprimer.

14. Sécurité et conservation

• Sécurité. Toutes les connexions réseau utilisent le chiffrement TLS. L’accès à nos serveurs suit le principe du moindre privilège, et le contenu des documents est exclu des journaux des serveurs par conception.
• Conservation. Nous ne conservons les données à caractère personnel que le temps nécessaire aux finalités ci-dessus : les données du compte persistent tant que votre compte existe et sont supprimées lorsque vous le supprimez ; la conservation côté sous-traitants (par exemple la fenêtre de surveillance des abus de Mistral) est régie par les conditions de chaque prestataire liées ci-dessus. Les obligations légales de conservation (par exemple en droit fiscal) restent applicables.

15. Modifications de la présente politique

Nous pouvons mettre à jour la présente politique lorsque notre traitement ou la loi évolue. La version en vigueur est toujours publiée à cette adresse avec sa date d’entrée en vigueur. Si une modification affecte sensiblement vos droits, nous vous en informerons dans l’application avant son entrée en vigueur.

16. Contact

Des questions sur la présente politique ou sur vos données ? Écrivez-nous à l’adresse [email protected].